在數(shù)字化時代，數(shù)據(jù)已成為企業(yè)Zui寶貴的資產(chǎn)之一。在《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》正式實施的背景下，M（數(shù)據(jù)安全能力成熟度模型）作為國家認證認可監(jiān)督管理委員會備案的評估體系，為金融機構(gòu)構(gòu)建符合“全生命周期保護、分類分級管控、風(fēng)險動態(tài)監(jiān)測”等監(jiān)管要求的安全體系提供系統(tǒng)性解決方案。

金融機構(gòu)數(shù)據(jù)安全治理面臨的難點痛點

近年來，隨著金融領(lǐng)域數(shù)據(jù)安全監(jiān)管政策的不斷加碼，金融機構(gòu)在數(shù)據(jù)安全方面持續(xù)投入，以確保數(shù)據(jù)安全防護體系的完善，但總體而言仍然道阻且長，主要難點在于以下方面：

（一）數(shù)據(jù)資產(chǎn)管控復(fù)雜，缺乏專項管理手段

金融是產(chǎn)生和積累數(shù)據(jù)量Zui大、數(shù)據(jù)類型Zui豐富的領(lǐng)域之一，金融數(shù)據(jù)更是關(guān)乎企業(yè)核心競爭力的重要資產(chǎn)。以銀行保險機構(gòu)的客戶數(shù)據(jù)為例，不僅涵蓋姓名、身份證號、工作單位、家庭住址等高敏感度信息，還呈現(xiàn)結(jié)構(gòu)化、半結(jié)構(gòu)化、非結(jié)構(gòu)化數(shù)據(jù)結(jié)合的特征，類型繁多。這些數(shù)據(jù)分散在眾多系統(tǒng)中，在信貸審批、保險理賠等業(yè)務(wù)環(huán)節(jié)流轉(zhuǎn)路徑復(fù)雜，風(fēng)險點眾多?！躲y行保險機構(gòu)數(shù)據(jù)安全管理辦法》明確要求建立數(shù)據(jù)安全管理組織架構(gòu)，明確崗位職責(zé)，但目前不少銀行保險機構(gòu)對數(shù)據(jù)缺乏清晰完整地掌控，數(shù)據(jù)保護顆粒度較粗，缺少數(shù)據(jù)安全專職管理部門和專項預(yù)算。2024年，某銀行因數(shù)據(jù)安全管理不到位，存在風(fēng)險隱患問題被國家金融監(jiān)督管理總局浙江監(jiān)管局罰款290萬元，其中，“數(shù)據(jù)安全管理不足”這一違法違規(guī)行為，之前已在多家銀行的罰單中出現(xiàn)，甚至有科技部主管因此被罰。這凸顯了數(shù)據(jù)安全管理組織、制度缺失在金融機構(gòu)的普遍性。

（二）數(shù)據(jù)安全保護投入大，人員技能經(jīng)驗欠缺

各類研究機構(gòu)及行業(yè)監(jiān)管機構(gòu)發(fā)布了多種數(shù)據(jù)安全管理體系、數(shù)據(jù)安全治理體系的zuijia實踐和國家、行業(yè)標(biāo)準。然而，大多數(shù)企業(yè)難以將這些標(biāo)準和zuijia實踐有效應(yīng)用到內(nèi)部治理中。在銀行保險機構(gòu)，由于員工缺乏對數(shù)據(jù)安全的深入理解和認識，難以判斷自身行為是否符合《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》的要求，導(dǎo)致數(shù)據(jù)安全工作成果僅停留在紙面上，產(chǎn)生大量安全隱患。

（三）金融業(yè)務(wù)數(shù)字化進程加快，數(shù)據(jù)安全風(fēng)險升級

當(dāng)前、金融機構(gòu)數(shù)字化轉(zhuǎn)型加速，線上業(yè)務(wù)類型復(fù)雜多樣，數(shù)據(jù)安全風(fēng)險尤其是個人信息保護風(fēng)險顯著增加。《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》規(guī)定銀行保險機構(gòu)在處理敏感級及以上數(shù)據(jù)的業(yè)務(wù)活動，或開展數(shù)據(jù)委托處理、共享等活動時，需事先開展數(shù)據(jù)安全評估。但不少銀行保險機構(gòu)缺乏風(fēng)險評估的能力和經(jīng)驗，對數(shù)字化業(yè)務(wù)中新生的數(shù)據(jù)安全風(fēng)險認識不足，在處理大量涉及個人信息數(shù)據(jù)的業(yè)務(wù)時，缺少有效的風(fēng)險評估落地指導(dǎo)依據(jù)。

M 認證對金融機構(gòu)的價值

數(shù)據(jù)安全能力成熟度（M）認證是國內(nèi)首個數(shù)據(jù)安全治理領(lǐng)域的認證，受到國家及行業(yè)的廣泛認可。

（一）構(gòu)建有效的數(shù)據(jù)安全保護體系

數(shù)據(jù)安全防護體系的建設(shè)應(yīng)以法律法規(guī)為依據(jù)，以金融監(jiān)管為指引，以合規(guī)為基本底線，以數(shù)據(jù)資產(chǎn)為保護對象，Zui終達到保障業(yè)務(wù)發(fā)展、賦能數(shù)據(jù)資源開發(fā)利用的目標(biāo)。M成熟度體系包含通用安全以及數(shù)據(jù)全生命周期兩大評估模塊，共涵蓋 30 個過程域和 570多項zuijia實踐，涉及企業(yè)數(shù)據(jù)安全所面臨的風(fēng)險和威脅的方方面面。參照《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》，通過評估分析，可以幫助銀行保險機構(gòu)建立與自身發(fā)展戰(zhàn)略相匹配的數(shù)據(jù)防護能力體系，完善組織體系，明確各層級的數(shù)據(jù)安全責(zé)任；健全制度體系，制定符合監(jiān)管要求的數(shù)據(jù)安全管理制度；構(gòu)建標(biāo)準體系，依據(jù)數(shù)據(jù)分類分級規(guī)范進行管理；打造工具和技術(shù)體系，加強數(shù)據(jù)安全技術(shù)保護，全面構(gòu)建數(shù)據(jù)安全“防火墻”。

（二）提出數(shù)據(jù)安全能力提升路徑

M 從低到高定義了數(shù)據(jù)安全能力的 1 - 5 級，從 L1 非正式執(zhí)行到 L5 持續(xù)優(yōu)化，每個等級解決的目標(biāo)問題各不相同，例如2 級計劃跟蹤級是以核心系統(tǒng)為評估目標(biāo)，解決數(shù)據(jù)安全保護體系有無的問題；而 4級量化控制級主要是解決量化指標(biāo)，以量化的標(biāo)準進行管理。評估專家依據(jù)自身豐富的經(jīng)驗和行業(yè)zuijia實踐，結(jié)合《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》，為銀行保險機構(gòu)量身定做具有針對性的數(shù)據(jù)安全能力提升路徑，從搭建基礎(chǔ)架構(gòu)到精細化管理，為一步步提升數(shù)據(jù)安全能力打下堅實基礎(chǔ)。

（三）提供的數(shù)據(jù)安全合規(guī)證明

在銀行保險機構(gòu)中，數(shù)據(jù)安全治理人才需求貫穿于各個部門，部門在組織自身數(shù)據(jù)安全能力建設(shè)時，同樣離不開數(shù)據(jù)安全專業(yè)人員的支持。在參與項目投標(biāo)時，M認證證書可大大提高中標(biāo)率，也是企業(yè)申請信息安全服務(wù)資質(zhì)的必備證書，有助于銀行保險機構(gòu)在滿足《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》合規(guī)要求的同時，提升市場競爭力。

金融機構(gòu)如何參與 M 認證

①　評估準備階段

評估機構(gòu)與金融機構(gòu)依據(jù)評估標(biāo)準進行初步溝通，銀行保險機構(gòu)對照能力等級標(biāo)準的相關(guān)要求，梳理本機構(gòu)數(shù)據(jù)管理的相關(guān)制度、執(zhí)行過程文檔、數(shù)據(jù)管理平臺和工具的相關(guān)資料，填寫自評估問卷。

②　評估策劃階段

評估機構(gòu)受理評估申請，與委托機構(gòu)針對金融機構(gòu)自評估結(jié)果分析評估需求并制定評估計劃。評估團隊針對機構(gòu)所申請成熟度等級進行貫標(biāo)培訓(xùn)。

③　現(xiàn)場評估階段

評估組依據(jù)認證依據(jù)和評估方案實施評估，運用合適的方法及工具對文件資料、人員、環(huán)境等開展現(xiàn)場評估，對評估過程中發(fā)現(xiàn)的不符合項和建議項應(yīng)開具不符合項和建議項報告。

④　復(fù)審確認階段

對審核中發(fā)現(xiàn)的不符合項，金融機構(gòu)組織分析原因，并采取糾正措施。在組織完成整改或達到整改期限后，審核組對所采取的糾正和糾正措施及其結(jié)果的有效性進行驗證。

⑤　認證監(jiān)督階段

金融機構(gòu)向認證機構(gòu)提交認證申請，認證機構(gòu)依據(jù)評估結(jié)果給出認證決定，認證決定人員對于符合要求或完成復(fù)核的受審項目，頒發(fā)認證證書。對獲得認證證書的機構(gòu)，認證機構(gòu)將開展相應(yīng)監(jiān)督審查工作。金融機構(gòu)獲得證書后可通過國家市場監(jiān)督管理總局全國認證認可信息公共服務(wù)平臺查詢證書詳情，并核查驗證證書的有效性。